Preparação para a entrevista

Perguntas de Entrevista para Analista de Cibersegurança

Preparar uma entrevista para Analista de Cibersegurança exige dominar tanto os fundamentos técnicos como a capacidade de explicar decisões sob pressão. Este guia reúne perguntas frequentes em processos de SOC no mercado português, com respostas-modelo na perspetiva do candidato, o motivo de cada pergunta e uma sugestão prática. Adapte as respostas à sua experiência e aos referenciais que domina (MITRE ATT&CK, NIST, ISO/IEC 27001).

Written & reviewed by the CVWon Editorial Team · Updated julho 2026

Criar o seu CV

Perguntas e respostas

Perguntas de entrevista e respostas-modelo

Prepare-se para estas perguntas frequentes com respostas-modelo detalhadas.

Porque é feita esta pergunta

Permite perceber se a pessoa já operou realmente num SOC e conhece o fluxo de trabalho, ou se apenas tem conhecimento teórico.

Resposta-modelo

Começo por rever a passagem de turno e os incidentes em aberto. Depois faço a triagem da fila de alertas no SIEM, priorizando pela criticidade e pelo ativo afetado. Para cada alerta, valido se é verdadeiro positivo, correlaciono-o com outros eventos e, se necessário, escalo-o para L2 com um resumo do que observei — origem, técnica MITRE ATT&CK associada e ações de contenção recomendadas. No fim do turno, documento tudo e faço a passagem à equipa seguinte.

Estruture a resposta pela ordem cronológica do turno e use vocabulário operacional real (triagem, escalonamento, handover).

Porque é feita esta pergunta

Testa a solidez dos fundamentos e a capacidade de distinguir tecnologias que a pessoa deve usar diariamente.

Resposta-modelo

Um IDS deteta e alerta sobre tráfego suspeito, mas não o bloqueia; um IPS atua em linha e pode bloquear a ameaça em tempo real. Quanto ao endpoint, o antivírus tradicional baseia-se sobretudo em assinaturas, ao passo que o EDR recolhe telemetria detalhada do posto de trabalho, deteta comportamentos anómalos e permite investigar e responder, como o isolamento remoto da máquina. Uso um EDR como o CrowdStrike Falcon para caçar comportamentos que um antivírus por assinaturas não apanharia.

Dê sempre um exemplo prático de utilização, e não apenas a definição de manual.

Porque é feita esta pergunta

Avalia o raciocínio de investigação, a metodologia e o conhecimento de resposta a incidentes reais.

Resposta-modelo

Primeiro confirmo o alerta: verifico os inícios de sessão do utilizador no SIEM, procuro autenticações a partir de localizações ou horários invulgares e sinais de viagem impossível. Depois avalio o alcance — a que sistemas a conta acedeu e se houve elevação de privilégios ou movimento lateral. Se confirmar o comprometimento, forço a reposição da palavra-passe, revogo as sessões ativas, isolo o endpoint se necessário e notifico segundo o playbook. Documento a linha temporal e mapeio as técnicas ao MITRE ATT&CK.

Mostre um método claro: confirmar, avaliar o alcance, conter, erradicar e documentar.

Porque é feita esta pergunta

O MITRE ATT&CK é hoje uma linguagem comum nos SOC; a resposta revela maturidade e prática recente.

Resposta-modelo

É uma base de conhecimento de táticas e técnicas usadas por atacantes, organizada por fases da cadeia de ataque. Uso-o para classificar os alertas — por exemplo, associar um alerta a T1566 (phishing) ou a T1078 (contas válidas) —, para comunicar de forma consistente com a equipa e para orientar o threat hunting, procurando ativamente técnicas para as quais ainda não temos deteção.

Refira uma ou duas técnicas concretas com o respetivo identificador para demonstrar uso real.

Porque é feita esta pergunta

A cibersegurança evolui depressa; o recrutador quer ver curiosidade genuína e um método de atualização contínua.

Resposta-modelo

Acompanho os boletins do CNCS e do CERT.PT, feeds de threat intelligence, os avisos de fornecedores e a comunidade em plataformas como o MISP. Sigo investigadores e blogues de referência, participo em CTF e reproduzo técnicas recentes em laboratório para perceber como as detetar. Traduzo depois esse conhecimento em novas regras de deteção ou em hipóteses de hunting.

Cite fontes nacionais (CNCS, CERT.PT) e mostre como transforma a informação em deteção prática.

Porque é feita esta pergunta

Verifica os conceitos fundamentais que sustentam qualquer decisão de segurança.

Resposta-modelo

A tríade CIA representa confidencialidade, integridade e disponibilidade. Confidencialidade é garantir que só quem tem autorização acede à informação — por exemplo, cifrar dados pessoais em repouso. Integridade é assegurar que os dados não são alterados indevidamente — por exemplo, validar os hashes dos ficheiros. Disponibilidade é manter os sistemas acessíveis quando são precisos — por exemplo, mitigar um ataque de negação de serviço.

Associe cada pilar a um controlo concreto para não soar decorado.

Técnica

Que perguntas técnicas são feitas numa entrevista para Analista de Cibersegurança?

Conte com estas perguntas técnicas específicas da função durante a entrevista.

Analiso o «Return-Path» e o «From» para detetar spoofing, os resultados de SPF, DKIM e DMARC, os «Received» para reconstruir o percurso e a origem real, o «Reply-To» (muitas vezes diferente do remetente) e ainda os URL e anexos, que analiso num ambiente isolado (sandbox) antes de qualquer conclusão.

Correlaciono o alerta com o contexto: o comportamento é normal para aquele utilizador ou serviço? Existem outros eventos relacionados? Verifico a reputação de IP e domínios, o histórico do ativo e se a atividade coincide com uma alteração legítima. Documento sempre o motivo da classificação, para permitir afinar a regra e reduzir o ruído futuro.

Trataria a situação como incidente. Isolaria o endpoint afetado da rede, preservaria a evidência (memória e logs), identificaria o processo responsável pela comunicação, bloquearia o domínio ou o IP no firewall e no proxy, e procuraria outros hospedeiros com o mesmo indicador de compromisso. Depois escalaria e documentaria a linha temporal.

Cruzo a pontuação CVSS com o contexto real: exposição do ativo (interno ou exposto à internet), criticidade para o negócio, existência de exploração ativa conhecida e disponibilidade de correção. Uma vulnerabilidade crítica num servidor exposto e com exploit público tem prioridade sobre uma crítica num sistema isolado e sem exploração conhecida.

Situacional

Que perguntas situacionais deve antecipar numa entrevista para Analista de Cibersegurança?

Cenários comportamentais e situacionais que poderá encontrar.

Priorizo o ransomware, por ser potencialmente catastrófico. Sigo o playbook: isolo os sistemas afetados para travar a propagação, identifico o vetor e o alcance, e escalo de imediato segundo o procedimento, acionando o contacto de emergência definido. Só depois de contido o principal é que regresso aos alertas menores, documentando a decisão de priorização para a passagem de turno.

Mantenho o rigor do processo. Explico com cordialidade que preciso de validar o alerta segundo o procedimento e registo a justificação apresentada. Se, após a análise, confirmar que é atividade legítima, classifico-o como falso positivo e proponho afinar a regra. Não encerro alertas por pressão, mas também não crio atrito desnecessário — documento tudo para garantir rasto de auditoria.

Trato a situação com discrição e foco no risco, e não na culpa. Comunico de imediato ao responsável de segurança, recomendo a rotação das credenciais expostas e a revisão dos acessos. Sugiro, sem expor publicamente o colega, reforçar a formação sobre gestão de segredos e a adoção de um cofre de palavras-passe.

Além da contenção técnica, avalio se houve uma violação de dados pessoais na aceção do RGPD. Se o risco for relevante, apoio a organização na notificação à CNPD dentro das 72 horas e, quando aplicável, na comunicação aos titulares. Documento a avaliação de risco e as medidas tomadas, articulando-me com o encarregado da proteção de dados (DPO).

Preparação

Dicas de preparação

Reveja os fundamentos: modelo OSI, TCP/IP, DNS, HTTP(S), autenticação e cifra — muitas perguntas técnicas partem daqui.

Prepare duas ou três histórias reais de incidentes que investigou, estruturadas pelo método STAR (Situação, Tarefa, Ação, Resultado).

Estude o MITRE ATT&CK e saiba mapear alertas a técnicas concretas; treine explicar o seu raciocínio em voz alta.

Conheça o contexto regulamentar português: o papel do CNCS e do CERT.PT, as obrigações da NIS2 e do RNCS, e a notificação de violações prevista no RGPD.

Monte um laboratório caseiro (Wazuh ou Elastic, uma máquina vítima e uma de ataque) para ter exemplos práticos e demonstrar iniciativa.

Prepare perguntas para o entrevistador sobre a maturidade do SOC, o SIEM utilizado, o regime de turnos e o plano de progressão (L1 → L2 → L3).

Como responder: «Quais são as suas expectativas salariais?»

Pela investigação que fiz, um Analista de Cibersegurança com o meu perfil e experiência situa-se, neste mercado, entre os 30.000 € e os 40.000 € brutos anuais, em 14 meses. Estou aberto a discutir o valor em função do pacote global — regime de turnos, subsídios, formação e certificações pagas, e possibilidade de trabalho híbrido. Qual é o intervalo previsto para esta função?

FAQ

Perguntas frequentes

Habitualmente entre duas a quatro semanas, com uma triagem inicial de RH, uma entrevista técnica (por vezes com um desafio prático ou um caso de triagem) e uma entrevista final. Em MSSP e multinacionais, pode incluir uma etapa em inglês.

Sim. É frequente um exercício de análise de logs, um cenário de triagem de alertas, questões sobre o MITRE ATT&CK ou um pequeno desafio de tipo CTF. O objetivo é ver o raciocínio, e não apenas o resultado — verbalize o seu método.

Independentemente de acordos formais, nunca revele informação sensível de antigos empregadores — nomes de clientes, arquiteturas ou indicadores reais de incidentes. Descreva o que fez e como, de forma anonimizada. Essa discrição é, em si, um sinal de profissionalismo valorizado.

Seja honesto e mostre o método: explique como abordaria o problema, que fontes consultaria e como testaria as hipóteses. Numa área tão vasta, ninguém sabe tudo; os entrevistadores valorizam mais o raciocínio e a honestidade intelectual do que uma resposta decorada.